CSPM을 활용한 리스크 기반 정책 설계를 경험한 적이 있다면, 그 과정에서 어떤 접근 방식을 취했는지 설명해 주세요.

클라우드 보안 형상 관리 경험은 없습니다. 보안 쪽 진로를 준비하면서 클라우드 환경에서 리스크 기반 접근이 왜 중요한지 이해하려 했습니다.

공부하면서 가장 이해가 됐던 건, 클라우드 환경은 설정 변경이 빠르고 자원이 동적으로 생성·삭제되기 때문에 전통적인 수동 보안 점검으로는 따라가기 어렵다는 점이었습니다. 그래서 자동화 도구가 필요하고, 그 도구가 만들어내는 수백 개의 알림 중에서 실제로 먼저 처리해야 할 것을 골라내는 판단이 핵심이라는 걸 배웠습니다. 리스크 기반 접근이란 결국 그 판단 기준을 명확히 하는 것이라는 이해가 생겼습니다. 자산 중요도, 공격 가능성, 현재 통제 수준을 함께 보는 방식이 그 기준이 된다는 내용도 공부했습니다.

입사 후에 실제 환경에서 이 접근을 적용하는 방법을 배우겠습니다.